Уязвимость в Bluetooth-наушниках на чипах Airoha: угон WhatsApp

Что произошло, почему это важно и что взять в работу.

Bluetooth-периферия на SoC Airoha оказалась недоверенным каналом. любые IoT- и гаджет-сценарии компаний должны считать кражу link key штатным риском, а не экзотикой.

Связанные услуги: Лендинг под ключ, AI Boost Team, стать клиентом.

Приходили разбирать Auracast, ушли с дырой в сервисном интерфейсе. Два немецких пентестера, Фридер Штайнмец и Деннис Хайнц, показали на 39C3 работу, которая начиналась как рутинный аудит Bluetooth-вещания. Спецификация Auracast, трансляционный слой для LE Audio, выглядела скучно. Нашли пару теоретических шероховатостей и забыли. А вот железо за спецификацией оказалось другого мнения.

Входная точка лежала не в протоколе трансляции. Она оказалась в сервисном интерфейсе прошивки, в протоколе обновления RACE, который вендор чипа оставил открытым. Без спаривания, без PIN, без аутентификации. Любой в радиусе действия мог читать и писать память на устройстве.

Речь о незащищённом сервисном интерфейсе, через который любой человек в радиусе действия Bluetooth может вытащить из чужих наушников криптографические ключи, клонировать устройство и получить контроль над звонками. И всё это без спаривания, вводов PIN-кода и какой-либо аутентификации.

Как раскрыли механику

Начали с трансмиттера MoerLab Auracast. На сайте вендора лежал файл прошивки, бинарный блоб без документации. Зато была Windows-утилита, которая этот блоб заливает по USB. Снифнули трафик в Wireshark. Обмен шёл через USB HID, стандарт для клавиатур и мышек, который железячники любят за отсутствие драйверов. Пакеты с настройками читались как открытый текст, а пакеты обновления оказались кусками того же блоба.

В каждом пакете нашли поле с монотонно растущим значением. Не счётчик, как сначала подумали, а адрес во флеш-памяти. Утилита диктовала контроллеру, куда класть байты. Сравнили пакеты конфигурации с пакетами прошивки, вычленили двухбайтовый OpCode, перевернули порядок байтов под Little Endian ARM и получили 0x0402, команду записи во флеш. Дальше помог репозиторий airoha-firmware-parser на GitHub, расшифровали блоб, загрузили в Ghidra и увидели switch-таблицу обработчиков.

Рядом с записью лежала функция с похожей сигнатурой, которая делала обратное. Читала память и отправляла наружу. Питоновский скрипт, эмулирующий утилиту вендора, но отправляющий команду чтения, выдал содержимое всей флешки байт за байтом. На этом Auracast перестал быть целью.

Один чип на миллионах устройств

Вскрыли наушники, посмотрели маркировку. SoC от тайваньской Airoha. Чипы этого вендора стоят в Sony, Marshall, JBL, Jabra, Beyerdynamic, Teufel и в безликих клонах AirPods. Один общий вендорский UUID для большинства производителей, отдельный для Sony. Масштаб не про один бракованный батч, а про общую платформу.

Прямая дорога через USB в наушниках не заработала. Порт там только для зарядки. Пришло время мобильных приложений-компаньонов, которые декомпилировали и нашли тот же RACE уже внутри BLE и Bluetooth Classic. Протокол оказался транспортно-агностичным. Поверх USB HID в трансмиттере, поверх RFCOMM в Classic, поверх GATT в BLE. Один незащищённый канал, три двери.

Цена ошибки

Цепочку довели до конца. Кража Bluetooth link key, клонирование наушников, перехват звонков, работающий микрофон, угон аккаунта WhatsApp. Сценарий, при котором наушники перестают быть периферией и становятся вектором на ваш мессенджер и почту.

Для бизнеса это меняет раскладку. Покупали наушники для колл-центра, выдали сотрудникам гарнитуры, поставили IoT-маяки на Airoha, собрали аудио-инфраструктуру для переговорок. Везде один и тот же риск стал штатным, а не экзотикой. Ответственность при этом размыта. Чип делает Airoha, интерфейс оставляет вендор, прошивку и приложение допиливает OEM, а безопасность никому не принадлежит.

Шаг руками

Сначала инвентаризация, а не паника. Выпишите модели гарнитур, колонок, трансмиттеров, маяков. Проверьте, кто чип внутри, через FCC-отчёты и разборы вроде 52audio. Если Airoha, считайте устройство недоверенным каналом до патча от OEM. Второе, пересмотрите политику доступа для периферии в помещениях, где звучит коммерческая тайна. Третье, следите за обновлениями приложений-компаньонов, там же ходит RACE.

Спешить с выводом, что вся экосистема рухнула, не стоит. Пока нет массовых отчётов об эксплуатации в дикой природе, а исследование требует навыков реверса. Но отсутствие аутентификации снимает порог входа с экзотики на любопытного скрипт-кидди с соседней скамейки.

Вердикт такой. Покупаете наушники, а получаете незащищённый сервисный порт в радиусе действия. Пока OEM не закроет RACE, link key вашего устройства это не секрет, а приглашение.

Артём Волков, репортёр.